vps-docs/hestiacp/chapitres/06-dns.md

Héberger son propre DNS

Le serveur devient le serveur DNS de vos domaines. {{DOMAINE}} a ses propres serveurs de noms, ns1.{{DOMAINE}} et ns2.{{DOMAINE}}, déclarés chez le registrar par des enregistrements glue. Vos autres domaines, par exemple en .ci, utilisent ensuite ces mêmes serveurs de noms.

[!WARNING] L'ordre compte Créez toujours la zone DNS avant le domaine mail : HestiaCP n'ajoute la clé DKIM que dans une zone qui existe déjà.

Créer la zone du domaine principal

La zone appartient à {{CLIENT}}, comme le site et les mails de {{DOMAINE}}. Le modèle child-ns est prévu pour un domaine qui sert lui-même de serveur de noms : il crée les enregistrements ns1 et ns2 qui pointent vers {{IP}}.

sudo v-add-dns-domain {{CLIENT}} {{DOMAINE}} {{IP}}
sudo v-change-dns-domain-tpl {{CLIENT}} {{DOMAINE}} child-ns

[!DANGER] Changer de modèle efface les enregistrements ajoutés à la main. Faites-le uniquement juste après la création, comme ici.

Ajoutez l'enregistrement du nom du serveur, dont dépendent le panel et son certificat :

sudo v-add-dns-record {{CLIENT}} {{DOMAINE}} {{HOST}} A {{IP}}
sudo v-list-dns-records {{CLIENT}} {{DOMAINE}}

[!CHECK] La liste contient les NS ns1.{{DOMAINE}}. et ns2.{{DOMAINE}}., les A @, ns1, ns2, mail et {{HOST}}, le CNAME www, le MX mail.{{DOMAINE}}., le TXT SPF et le TXT _dmarc.

Tester la zone sur le serveur

dig @{{IP}} {{DOMAINE}} SOA +short
dig @{{IP}} ns1.{{DOMAINE}} +short
dig @{{IP}} {{FQDN}} +short

[!CHECK] La première commande affiche une ligne commençant par ns1.{{DOMAINE}}. ; les deux suivantes affichent {{IP}}.

Déclarer les glue records chez OVH

Dans l'espace client OVH : Web Cloud › Noms de domaine › {{DOMAINE}} › onglet GLUE › Ajouter.

Nom d'hôte	Adresse IP
ns1.{{DOMAINE}}	{{IP}}
ns2.{{DOMAINE}}	{{IP}}

Ne mettez que l'IPv4 : l'IPv6 entrante est bloquée par le pare-feu (chapitre 4), donc une glue IPv6 rendrait le DNS injoignable pour une partie d'Internet.

Basculer les serveurs DNS chez OVH

Toujours sur {{DOMAINE}} : onglet Serveurs DNS › Modifier les serveurs DNS. Remplacez les serveurs d'OVH par :

ns1.{{DOMAINE}}
ns2.{{DOMAINE}}

Note

OVH vérifie que vos serveurs répondent avant d'accepter le changement : c'est pour cela que la zone doit exister avant. La propagation prend de quelques heures à 48 h.

Vérifier la délégation

Depuis le serveur ou votre ordinateur :

dig +trace NS {{DOMAINE}} | tail -n 8
dig NS {{DOMAINE}} +short

[!CHECK] La fin du +trace montre ns1.{{DOMAINE}} et ns2.{{DOMAINE}} avec la réponse de {{IP}}. Un contrôle complet est possible sur https://zonemaster.net.

Ajouter un autre domaine (ex. un .ci)

Pour un domaine de projet {{SITE}} enregistré chez un autre registrar, utilisez le modèle par défaut, qui inclut aussi les enregistrements SRV de la messagerie. Ses serveurs de noms seront ceux de l'utilisateur, c'est-à-dire ns1.{{DOMAINE}} et ns2.{{DOMAINE}}.

sudo v-add-dns-domain {{CLIENT}} {{SITE}} {{IP}}
sudo v-list-dns-records {{CLIENT}} {{SITE}}

Chez le registrar de {{SITE}}, remplacez ensuite les serveurs DNS par ns1.{{DOMAINE}} et ns2.{{DOMAINE}}. Pas de glue ici : elle ne sert que pour le domaine qui porte les serveurs de noms.

Note

Si {{SITE}} est le même domaine que {{DOMAINE}}, cette étape est déjà faite : passez à la suite.

Ajouter un sous-domaine dans le DNS

HestiaCP ne crée pas l'enregistrement DNS quand vous ajoutez un site en sous-domaine. Ajoutez-le vous-même avant de créer le site, puis vérifiez :

sudo v-add-dns-record {{CLIENT}} {{DOMAINE}} app A {{IP}}
dig @{{IP}} app.{{DOMAINE}} +short

Activer DNSSEC (facultatif)

DNSSEC signe la zone pour empêcher la falsification des réponses DNS. HestiaCP ne l'autorise qu'en mode hestia-zone, un réglage de cluster sans effet sur un serveur seul.

sudo v-change-sys-config-value DNS_CLUSTER_SYSTEM hestia-zone
sudo v-change-dns-domain-dnssec {{CLIENT}} {{DOMAINE}} yes
sudo v-list-dnssec-public-key {{CLIENT}} {{DOMAINE}} shell

La dernière commande affiche l'enregistrement DS, avec le key tag, le flag 257, l'algorithme 13 et la clé publique. Chez OVH : {{DOMAINE}} › onglet Enregistrements DS › Modifier, puis copiez-y ces valeurs.

[!DANGER] Désactiver DNSSEC dans le bon ordre Pour désactiver DNSSEC plus tard, supprimez d'abord le DS chez le registrar et attendez 48 h. Sinon le domaine devient injoignable. Sur un ancien serveur, OVH a déjà refusé un DS avec l'erreur « Error while checking DNSKEYS » : dans ce cas, réessayez plus tard ou contactez le support.

[!CHECK] https://dnsviz.net affiche une chaîne de confiance verte pour {{DOMAINE}}.